Apa yang boleh dan tidak boleh dibuktikan oleh log VPN tentang pelayaran

Sebelum memilih pengumpul log, tentukan peristiwa mana yang mesti dibuktikan oleh audit. Bertanya sesi VPN mana menghubungi alamat destinasi berbeza daripada bertanya orang mana yang membuka halaman tertentu. Kedua-duanya memerlukan rekod berbeza, gabungan berbeza dan tahap keyakinan berbeza. Log sambungan OpenVPN menjawab yang pertama dan tidak boleh menjawab yang kedua.

Namakan peristiwa sebelum memilih pengumpul

Rekod sesi menunjukkan identiti yang diterima, masa mula dan tamat serta alamat yang diperuntukkan oleh pelayan mengikut dasarnya sendiri. Log penyelesai menunjukkan bahawa nama telah ditanya pada penyelesai itu. Rekod aliran menunjukkan alamat, port, protokol dan masa, dan log aplikasi menunjukkan transaksi yang benar-benar dikendalikan oleh aplikasi itu. Tiada satu pun daripada empat itu menggantikan yang lain.

Setiap satu menetapkan satu peristiwa dan membiarkan yang lain terbuka. Menulis soalan itu terlebih dahulu menghalang anda daripada menyusun cerita yang tidak dapat disokong oleh data.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Arahan pertama menunjukkan peristiwa sesi daripada jurnal perkhidmatan. Yang kedua mencetak senarai klien semasa dengan alamat yang diperuntukkan, iaitu pemetaan yang menjadi asas gabungan audit. Yang ketiga menunjukkan keadaan aliran langsung, berguna hanya selagi sambungan masih wujud.

Carian bukan lawatan

Pelayar menyelesaikan nama secara spekulatif, menyimpan jawapan dalam cache dan menggunakannya semula tanpa bertanya lagi kepada penyelesai yang dipantau. Oleh itu nama dalam log penyelesai membuktikan carian, bukan lawatan. DNS melalui HTTPS melebarkan jurang itu, kerana pelayar yang dikonfigurasikan untuknya menghantar soalannya ke tempat yang tidak pernah dilihat oleh pencatat log biasa anda.

Alamat destinasi tidak lebih baik dengan sendirinya. Satu alamat boleh mengehos banyak laman tidak berkaitan, DNS terbalik ialah tekaan dan bukan pembinaan semula, dan nama hos yang kelihatan semasa jabat tangan TLS bukan laluan permintaan di dalam sesi yang disulitkan.

Untuk transaksi tepat anda memerlukan rekod peristiwa aplikasi itu sendiri atau reka bentuk proksi yang disokong secara jelas untuk pengelogan. Terowong CONNECT memberikan proksi destinasi dan isipadu, bukan laluan halaman di dalamnya. Akses pentadbiran ke rangkaian bukan lesen untuk menggantikan model kepercayaan aplikasi secara senyap.

Gabungkan identiti dan masa sebelum menamakan seseorang

Rekod aliran yang membawa alamat sumber dalaman tidak bermakna sehingga alamat itu digabungkan dengan sesi pada masa yang sama. Alamat digunakan semula, dan alamat yang sama mungkin milik sesi lain sejam lebih awal. Peruntukan statik ialah satu cara mengekalkan kaitan, bukan satu-satunya.

Sempadan terjemahan melemahkan gabungan itu lebih jauh. Jika beberapa peranti sudah berkongsi satu alamat sumber sebelum titik pemerhatian anda, yang terbaik yang boleh anda kenal pasti ialah sesi gateway bersama dan bukan satu peranti. Sijil atau akaun yang digunakan oleh beberapa orang mempunyai kesan yang sama.

Rekod zon waktu, sumber jam, titik pemerhatian dan setiap langkah terjemahan. Rekod yang hilang boleh bermakna entri aliran telah luput, penderia telah dipintas atau log aplikasi telah dimatikan. Ketiadaan bukan bukti bahawa tiada apa-apa berlaku.

Kemudian tetapkan medan minimum, pembaca yang dibenarkan dan tempoh penyimpanan untuk tujuan yang dinyatakan. Korelasi dan salah atribusi ialah persoalan reka bentuk dan bukan fikiran kemudian, dan metadata yang mengenal pasti orang wajar mendapat perlindungan yang sama seperti pemetaan identiti yang menjadi asasnya.

Uji audit dengan aktiviti yang anda kawal

Hasilkan trafik yang dibenarkan yang sesi dan aplikasinya sudah anda ketahui, kemudian periksa apa yang sebenarnya ditangkap oleh setiap rekod. Lakukan carian tanpa memuatkan halaman, muatkan halaman daripada cache dan buka sambungan melalui proksi, dan lihat peristiwa mana yang muncul.

Laporkan peristiwa yang disokong oleh bukti dan nyatakan apa yang tidak diliputinya. Rekod sederhana dengan skop yang dinyatakan bertahan dalam semakan; sejarah pelayaran bercita-cita tinggi yang disusun daripada tekaan tidak bertahan.